Générateur de passphrase

7 mots

Générateur de passphrase aléatoire gratuit

Créez un mot de passe facile à retenir à partir de mots aléatoires avec ce générateur de passphrase : simple à mémoriser, facile à saisir et difficile à deviner. Il applique correctement l’idée de xkcd et la méthode Diceware, avec un générateur de nombres aléatoires sécurisé et une évaluation honnête de sa robustesse. Le réglage par défaut, sept mots aléatoires, offre une sécurité suffisante pour presque tout ce que vous saisissez à la main.

Choisissez de 3 à 12 mots, leur séparateur, des majuscules, un chiffre, un symbole et une longueur maximale. Les mots sont disponibles en anglais et dans neuf autres langues. Un mot ne vous plaît pas ? Appuyez dessus pour remplacer uniquement ce mot. La phrase secrète est générée sur votre appareil et n’est jamais envoyée ailleurs.

Aller à : À quoi ça sert ? · Combien de mots ? · Trois mots aléatoires · Comment la retenir · Questions

À quoi servira votre phrase secrète ?

Une phrase secrète sert à protéger un accès dont vous saisissez vous-même le mot de passe. Choisissez l’usage prévu : le générateur s’ouvrira avec les bons réglages.

De combien de mots avez-vous besoin ?

Chaque mot ajouté rend une phrase secrète environ 7 400 fois plus difficile à deviner, car un attaquant doit essayer tous les mots de la liste pour chaque position. Sept mots aléatoires, notre réglage par défaut, conviennent à presque tout ce que vous saisissez à la main : une session sur un ordinateur, un réseau Wi-Fi ou une clé SSH. Utilisez huit mots pour un gestionnaire de mots de passe ou un disque chiffré. Trois ou quatre mots sont réservés aux comptes qui bloquent les tentatives incorrectes, comme expliqué ci-dessous.

Le délai indiqué sous le générateur correspond au pire des cas : un site web a été piraté, l’attaquant possède une copie brouillée de votre phrase secrète, connaît votre liste de mots et rien ne limite ses tentatives. Pour la phrase secrète affichée dans le générateur, le temps nécessaire dépend des moyens de l’attaquant :

Votre phrase secrète7 motsEnglish

Une carte graphique: 98 millions d’années; Très fort; Comme dans un puissant PC de jeu
1 000 cartes graphiques Votre note: 98 000 ans; Fort; Louées à l’heure, par exemple par un groupe criminel
100 000 cartes graphiques: 980 ans; Fort; À l’échelle d’un gouvernement ou d’une grande entreprise technologique. Personne ne publie ces chiffres.

Un site web ou un appareil bien protégé est beaucoup plus lent à attaquer : il bloque les tentatives incorrectes répétées et stocke les mots de passe sous une forme qui ralentit les essais. Vous ne pouvez toutefois pas voir comment un site stocke le vôtre, alors ne comptez pas sur cette protection.

Les majuscules n’apportent presque rien, car un attaquant peut aussi mettre une majuscule à chaque mot. Un chiffre ou un symbole apporte un peu plus de sécurité. Un mot supplémentaire en apporte le plus. Si un site impose une longueur maximale, ouvrez Sans limite et sélectionnez cette limite : le générateur ne crée alors que des phrases secrètes qui la respectent, et l’indicateur de robustesse baisse en conséquence.

Un mot de passe de 3 mots suffit-il ?

Le National Cyber Security Centre (NCSC) du Royaume-Uni recommande d’utiliser « trois mots aléatoires », et beaucoup de personnes recherchent désormais un générateur de mots de passe de 3 mots. Ce conseil est pertinent dans le contexte pour lequel il a été formulé : un compte en ligne qui bloque les tentatives répétées, idéalement avec une connexion en deux étapes. Deviner trois mots aléatoires via une page de connexion à raison de 10 tentatives par seconde prendrait environ 650 ans.

Le problème se pose en cas de fuite de données. Si les empreintes des mots de passe du site sont volées, ces mêmes trois mots peuvent être trouvés en moins d’une seconde. Ajouter des majuscules, un chiffre et un symbole n’aide guère. N’utilisez donc trois mots que dans les situations visées par le NCSC. Pour un gestionnaire de mots de passe, une session sur un ordinateur, un réseau Wi-Fi ou un disque chiffré, utilisez sept mots ou plus. L’exemple Trois mots aléatoires ci-dessus ouvre le générateur avec des réglages conformes à l’approche du NCSC, et l’indicateur de robustesse montre sans détour à quel point le mot de passe obtenu est faible.

Un générateur de passphrase façon xkcd, bien conçu

La célèbre bande dessinée xkcd expliquait que quatre mots courants choisis au hasard sont plus faciles à retenir que « Tr0ub4dor&3 » et plus difficiles à déchiffrer. L’idée était bonne. Mais les chiffres ne servaient qu’à l’illustrer : quatre mots tirés d’une liste de 2 048 représentent 44 bits, ce qu’une seule carte graphique peut tester en moins d’une minute.

Ce générateur reprend l’idée et revoit les chiffres : des listes d’environ 7 400 mots au lieu de 2 048, sept mots par défaut au lieu de quatre, aucun mot répété et un générateur de nombres aléatoires sécurisé plutôt qu’une personne qui choisit les mots. Sept mots donnent environ 90 bits, soit environ 100 000 ans, même pour 1 000 cartes graphiques.

Le plus important, c’est le hasard. Les personnes qui choisissent elles-mêmes leurs mots utilisent des paroles de chansons, des citations, des noms et des lieux, et les outils de piratage essaient ces combinaisons en premier. Même « correct horse battery staple », la phrase de la bande dessinée, apparaît désormais des milliers de fois dans des fuites de données. Les mots choisis au hasard ne suivent aucun schéma à repérer : les chiffres restent donc valables même si un attaquant sait que vous avez utilisé PassGen.co. Vous utilisez déjà une phrase secrète que vous avez inventée ? Testez-la avec le Test de robustesse du mot de passe.

Comment mémoriser une phrase secrète

Créez une image mentale. Imaginez une petite scène amusante qui reprend les mots dans l’ordre. Un morse avec une lanterne dans un canyon se retient bien mieux que sept mots isolés.
Saisissez-la souvent au début. Utilisez-la plusieurs fois par jour pendant la première semaine. Ensuite, vos doigts s’en souviendront.
Notez-la sur papier le temps de la mémoriser. Gardez le papier chez vous, jamais avec l’appareil qu’elle déverrouille, et détruisez-le une fois que vous connaissez la phrase secrète par cœur.
Gardez les séparateurs. Les traits d’union ou les espaces vous aident à repérer où vous vous êtes trompé, et ne coûtent rien.

Des phrases secrètes dans votre langue

Les mots que vous connaissez sont plus faciles à retenir et à saisir. Choisissez une liste de mots avec le bouton en forme de globe : English, Deutsch, Español, Français, Italiano, Português, Català, Nederlands, Українська ou Русский. Chaque liste principale contient environ 5 900 à 7 700 mots : une phrase secrète créée avec l’une de ces listes est donc presque aussi sûre qu’une phrase secrète en anglais, et le calcul de la robustesse sous le générateur tient compte de la liste exacte que vous choisissez.

Les listes en ukrainien et en russe sont aussi disponibles en caractères latins, car l’écran de démarrage d’un ordinateur portable chiffré, un téléviseur ou la page d’administration d’un routeur ne propose souvent qu’un clavier américain. Si vous ne pouvez pas y saisir votre phrase secrète, vous ne pourrez pas y accéder. Pour la même raison, testez votre phrase secrète de chiffrement du disque sur l’écran de démarrage avant de compter sur elle, ou utilisez une liste sans accents.

English (short words) utilise des mots de trois à cinq lettres, plus rapides à saisir sur un téléphone ou avec une télécommande de téléviseur. Comme cette liste contient moins de mots, chacun contribue moins à la sécurité : utilisez donc neuf mots courts pour obtenir la même protection qu’avec sept mots de la liste principale.

Fonctionnement : détails techniques

Pour celles et ceux qui souhaitent vérifier les détails.

Tirage aléatoire sécurisé

chaque mot est tiré avec crypto.getRandomValues(), par échantillonnage par rejet, pour que tous les mots aient exactement la même probabilité d’être choisis. Si un mot figure déjà dans la phrase secrète, le tirage est recommencé : aucun mot n’apparaît donc deux fois.

Estimation de la robustesse

il s’agit du nombre exact de phrases secrètes différentes que les réglages permettent de générer. Sans longueur maximale, ce nombre est N × (N − 1) × …, avec autant de facteurs que de mots dans la phrase, à partir d’une liste de N mots. Les chiffres aléatoires entre les mots le multiplient par 10 pour chaque intervalle ; l’option « ajouter un chiffre », par 10 × le nombre de mots (choix du chiffre et du mot) ; et l’option « ajouter un symbole », par 8 × le nombre de mots (choix d’un symbole parmi ! @ # $ % ^ & * et du mot). Les majuscules n’ajoutent rien, pas plus qu’un séparateur Personnalisé, puisque vous le choisissez. Bits = log₂ de ce nombre. Temps de déchiffrage = 2^{bits − 1} ÷ (2 × 10¹⁴) secondes, pour 1 000 cartes graphiques.

Longueur maximale

le générateur calcule exactement combien de phrases secrètes respectent cette limite, en tenant compte de la longueur des mots de la liste. Il en tire ensuite une au hasard, chacune ayant la même probabilité d’être choisie. La robustesse est calculée à partir du nombre de phrases qui respectent la limite.

Mots remplacés

pour chaque mot remplacé k fois, la robustesse diminue de log₂(k + 1) bits, soit la quantité maximale d’information que peut révéler le choix d’un mot parmi k + 1 mots.

Listes adaptées aux dés

la plupart des listes contiennent au départ 7776 mots, soit 6 × 6 × 6 × 6 × 6, le nombre de résultats possibles avec cinq dés. C’est la méthode Diceware : lancer cinq dés et chercher le mot correspondant. Les listes en espagnol, en italien et en catalan contiennent 8192 mots, et la liste de mots courts en anglais en contient 1296, pour quatre dés. En raison du filtrage décrit ci-dessous, le générateur utilise le générateur de nombres aléatoires de votre navigateur plutôt que les résultats de dés.

Filtrage

les mots contenant un caractère séparateur, comme « yo-yo », sont supprimés pour éviter toute ambiguïté sur la séparation entre les mots. Les noms de personnes et de lieux, même lorsqu’une liste les écrit en minuscules, sont également supprimés, ainsi que les mots qui seraient désagréables ou gênants dans une phrase secrète que vous pourriez prononcer à voix haute : maladies, drogues, armes ou insultes, par exemple. Mots utilisables : English 7 424, English (short words) 1 234, Deutsch 6 947, Español 5 962, Français 7 347, Italiano 7 667, Português 7 429, Català 7 186, Nederlands 7 337, Українська 7 430, Українська (латиницею) 7 480, Русский et Русский (латиницей) 7 608 chacun. Le calcul de la robustesse utilise ces nombres et reste donc exact.

Listes de mots

l’anglais utilise l’EFF Long Wordlist (CC BY 4.0) et l’anglais (mots courts), l’EFF Short Wordlist 1 (CC BY 3.0 US). Les listes en allemand, en espagnol, en italien et en catalan proviennent des listes diceware d’ulif (CC BY), celle en français du projet Tails (CC0), celle en néerlandais de mko.re (CC BY) et celle en ukrainien de git-leaf (MIT). La liste en russe a été créée pour PassGen.co à partir des données d’OpenRussian.org (CC BY-SA 4.0), et celle en portugais à partir des données de fréquence des mots d’OpenSubtitles (hermitdave/FrequencyWords) et de Wikipédia en portugais (CC BY-SA 4.0).

Questions fréquentes

Quel est un bon exemple de phrase secrète ?

Par exemple, velours-port-croquis-lanterne-cactus-morse-canyon : sept mots sans lien entre eux ni avec vous. N’utilisez jamais un exemple publié, y compris celui-ci. Créez votre propre phrase ci-dessus.

Une phrase secrète de quatre mots est-elle sûre ?

Uniquement si le nombre de tentatives incorrectes est limité, comme sur un téléphone qui se verrouille après quelques essais. Si l’empreinte de hachage de la phrase secrète était volée, quatre mots seraient déchiffrés en quelques secondes. Utilisez sept mots pour vos comptes et huit pour tout ce qui protège d’autres mots de passe.

Quelle est la différence entre une phrase secrète et un mot de passe ?

Un mot de passe est généralement une courte suite de caractères variés ; une phrase secrète est une suite de mots plus longue. Une phrase secrète, comme celles que crée un générateur de passphrase, est ce que la plupart des gens appellent un mot de passe facile à retenir. À sécurité égale, une phrase secrète est plus longue, mais bien plus facile à saisir et à retenir. Utilisez une phrase secrète pour ce que vous saisissez vous-même, et un mot de passe aléatoire pour ce que votre gestionnaire de mots de passe remplit à votre place.

Est-ce un générateur Diceware ?

Il utilise la même méthode : des mots tirés au hasard dans une liste conçue pour un tirage avec des dés. La plupart de ces listes contiennent 7776 mots, soit le nombre de résultats possibles avec cinq dés. Au lieu de lancer des dés, il utilise le générateur de nombres aléatoires sécurisé de votre navigateur, tout aussi aléatoire et bien plus rapide. Le niveau de sécurité affiché tient compte de la liste exacte utilisée.

Pourquoi une longue phrase secrète affiche-t-elle un temps de déchiffrage court ?

La sécurité dépend du nombre de phrases secrètes que vos réglages permettent de créer, pas de leur nombre de lettres. Un attaquant essaie des mots entiers de la liste : les mots longs ne protègent donc pas mieux que les courts, et mettre une majuscule à chaque mot n’apporte rien. Un mot de plus multiplie le temps nécessaire par environ 7400.

Puis-je changer un seul mot ?

Oui. Touchez le mot ou cliquez dessus, ou sélectionnez-le avec les touches fléchées et appuyez sur Entrée. Seul ce mot change. L’indicateur de robustesse baisse légèrement à chaque remplacement, car un mot que vous avez choisi est un peu moins aléatoire qu’un mot que vous n’avez pas choisi.

Puis-je créer plusieurs phrases secrètes à la fois ?

Oui. Ouvrez Plusieurs phrases sous le résultat et choisissez-en jusqu’à 16, chacune avec son propre bouton de copie. Pour toute une classe ou une entreprise, le générateur de mots de passe en masse en crée jusqu’à 1000 et les exporte pour Microsoft 365, Google Workspace ou Active Directory.

Puis-je utiliser des espaces dans une phrase secrète ?

En général, oui. La plupart des sites web, des systèmes d’exploitation et des outils de chiffrement acceptent les espaces. Certains systèmes anciens les suppriment ou les refusent : en cas de doute, utilisez des traits d’union. Si un site refuse aussi les traits d’union, choisissez Personnalisé et saisissez un caractère qu’il accepte. Le niveau de sécurité reste le même dans tous les cas.

Comment ajouter une phrase secrète à une clé SSH ou GPG ?

Pour une clé SSH existante, exécutez ssh-keygen -p -f ~/.ssh/id_ed25519 et collez la phrase secrète lorsqu’elle vous est demandée. Pour GPG, exécutez gpg --passwd suivi de l’identifiant de votre clé. Lors de la création d’une nouvelle clé, une phrase secrète vous est demandée.

Puis-je utiliser ce générateur pour la phrase de récupération d’un portefeuille de cryptomonnaies ?

Non. Une phrase de récupération de 12 ou 24 mots doit être générée par votre portefeuille, qui utilise sa propre liste de mots et une somme de contrôle intégrée. Les mots générés ici ne seraient donc pas valides. La phrase secrète BIP39 facultative proposée par certains portefeuilles est différente : vous la choisissez vous-même, donc une phrase secrète générée ici convient bien. Conservez-la avec autant de soin que la phrase de récupération, car il est impossible de restaurer le portefeuille sans elle.

Est-il sûr de créer une phrase secrète en ligne ?

Ici, oui. La phrase secrète est créée par du code qui s’exécute dans votre navigateur et ne nous est jamais envoyée. Une fois chargée, la page fonctionne sans connexion Internet : vous pouvez donc vous déconnecter avant de générer votre phrase secrète pour en avoir la certitude.

Langue

Générateur de passphrase